Le moineau prédateur israélien s’attaque à l’Iran… de son nid

En 2025, le conflit cyber entre groupes pro-iraniens et pro-israéliens s’accélère. Attaques DDoS, failles exploitées et revendications ciblent des infrastructures critiques. Focus sur « Le moineau prédateur », un hacktiviste accusé d’avoir frappé l’Iran en juin 2025.

Au cours de l’année 2025, il y a 108 groupes de hackers, hacktivistes ou cyber malveillants repérés, en mal de notoriété cachés derrière les attaques DDoS et les « piratages » entre Israël et l’Iran. Les DDoS restent le principal vecteur d’action de ces groupes, quelle que soit la zone géographique. Cette hausse inclut l’apparition de Mosses Staff du côté pro-iranien et du moineau prédateur chez les pro-israéliens, signe d’une polarisation croissante sur fond de guerre de l’information.

Données diffusées par le moineau tirées d’un infostealer. – Capture : zataz.com

Je ne reviendrai pas sur Mosses Staff. ZATAZ en a déjà parlé plusieurs fois lors de cyberattaques à l’encontre d’entreprises israéliennes et de l’utilisation du code malveillant Strife Water en février 2022. Penchons-nous sur le pirate qui refait parler de lui ces derniers jours, depuis l’entrée en guerre d’Israël face à l’Iran en juin 2025.

Le moineau prédateur est connu depuis 2018. Il y a quelques jours, le pirate caché derrière le volatile Hacktiviste a partagé sur les réseaux sociaux des captures d’écran affirmant avoir détruit l’infrastructure informatique de l’une des plus grandes banques d’État iraniennes, la banque Sepah. Des publications sur X montrent des photos de distributeurs automatiques hors service et de personnes incapables de retirer de l’argent. Étonnamment, on ne trouve pas ces photos sur d’autres canaux de communication du pirate que ZATAZ suit depuis de nombreux mois. Cette cyberattaque, même si elle est fausse, s’inscrit dans une stratégie de guerre informationnelle, avec des camps multipliant les déclarations contradictoires.

Le 18 juin 2025, le pirate revendique une cyberattaque contre Nobitex, la principale plateforme d’échange de cryptomonnaies iranienne. Le groupe menace de publier le code source et les informations internes, justifiant l’opération par le rôle supposé de Nobitex dans le financement du terrorisme et l’évasion de sanctions.

Des coups de comm’ et de hack !

Le moineau prédateur diffuse des codes et des fichiers permettant à sa communauté de lancer des cyberattaques. Parmi les outils que ZATAZ a pu suivre dans leurs évolutions : Snoozy et Miss Piggy (ou Miss Peggy). Snoozy est un modèle offensif exploitant ChatGPT, basé sur la base CVE, capable d’identifier et de générer des exploits dans n’importe quel langage. ChatGPT ne permettant pas de réaliser les attaques directement, le créateur a dû faire évoluer son logiciel.

Miss Piggy, le successeur de Snoozy, est un modèle qui automatise entièrement le processus d’exploitation, de la génération à l’attaque. Le troisième outil, Miss Peggy (avec un e), pourrait être une nouvelle fonctionnalité de Piggy. Cet outil a été repéré dans des campagnes DDoS et d’exploitation active de failles.

Ces outils démocratisent l’exploitation de vulnérabilités même pour les opérateurs peu expérimentés. Une méthode similaire à celle employée par l’Ukrainian Cyber Army, comme ZATAZ a pu l’expliquer.

Confrontations antérieures

Le Moineau se distingue par plusieurs attaques symboliques antérieures. En décembre 2023, il aurait mis hors service la majorité des stations-service iraniennes, après avoir prévenu ambulances et pompiers. Selon Reuters, environ 70 % des stations auraient été touchées. « Cette cyberattaque est une réponse à l’agression de la République islamique et de ses proxys dans la région« , indiquait alors le pirate. En novembre de la même année, il avait lancé des menaces sur Telegram à l’encontre des dirigeants iraniens : « Ceci n’est qu’un avant-goût de ce que nous vous réservons.« 

Quelques mois auparavant, nous sommes alors en juin 2022, il vise des sites sidérurgiques iraniens, causant un incendie et publiant près de 19,8 Go de données ultra-secrètes, probablement liées aux Gardiens de la révolution. Les cyberattaques auraient été menées avec des précautions pour ne pas nuire aux innocents. Le haut fourneau manipulé était vide et froid, sans ouvriers présents.

D’après la World Steel Association, l’Iran est le premier producteur d’acier au Moyen-Orient et figure parmi les dix premiers mondiaux. Le directeur général de Khuzestan Steel, Amin Ebrahimi, a affirmé avoir repoussé l’attaque et évité des perturbations majeures. Toutefois, l’entreprise a tout de même suspendu ses activités pour raisons techniques.

Le CGRI (Corps des Gardiens de la révolution islamique) est une force politico-militaire iranienne créée en 1979. Le Bassidj est sa milice paramilitaire.

En 2024, Le moineau prédateur annonce avoir obtenu des données bancaires iraniennes et vouloir les redistribuer : « Citoyens d’Israël, nous avons décidé d’aider financièrement par le biais de ‘dons’ provenant de banques iraniennes […] ». Il vise aussi la Qatar National Bank, accusée de soutenir l’Iran.

ZATAZ a récemment constaté la diffusion d’une base de données de trois millions de comptes Facebook et 1,8 millions de comptes Instagram d’Iraniens. Une collecte datant de 2023, par un autre pirate, sur les réseaux sociaux américains. ZATAZ a pu constater une autre diffusion, plus de 4,4 millions d’identités et numéros de téléphones volés à un opérateur télécom local.

L’hacktiviste dispose également d’un compte sur le programme de bug bounty américain HackerOne, actif depuis au moins 2018 avec des rapports validés par des entités américaines comme le DoD ou le Département d’État.

Cyber guerre ou cyber communication ?

Plusieurs dizaines de groupes pirates s’affichent dans le conflit Israël/Iran. 108 groupes ont été identifiés sur les réseaux sociaux et sur le web : 84 pro-iraniens (principalement en Asie de l’Ouest, du Sud et en Afrique du Nord), 25 pro-israéliens ou anti-iraniens. Certains groupes pro-iraniens sont aussi pro-russes, montrant un chevauchement géopolitique (ex. : Z Alliance, Twonet, Coup Team).

L’axe pro-iranien domine en nombre, mais cela ne reflète pas nécessairement un déséquilibre opérationnel : certains groupes ont une origine commune, reproduisant l’effet de masse utilisé par les pro-russes auparavant.